“互聯(lián)網(wǎng)+”安全缺位的危機(jī)

2015-07-08 16:15:17 大云網(wǎng)　點(diǎn)擊量：評(píng)論 (0)

如果問(wèn)上半年什么是影響我國(guó)經(jīng)濟(jì)的關(guān)鍵詞，可以說(shuō)到的有很多：智能制造、工業(yè)互聯(lián)網(wǎng)、互聯(lián)網(wǎng)+等都可以列入備選。而作為被總理親自點(diǎn)名的互聯(lián)網(wǎng)+更是包羅萬(wàn)象，可以和工業(yè)、農(nóng)業(yè)、服務(wù)行業(yè)對(duì)接，影響范圍更加廣

如果問(wèn)上半年什么是影響我國(guó)經(jīng)濟(jì)的關(guān)鍵詞，可以說(shuō)到的有很多：智能制造、工業(yè)互聯(lián)網(wǎng)、“互聯(lián)網(wǎng)+”等都可以列入備選。而作為被總理親自點(diǎn)名的“互聯(lián)網(wǎng)+”更是包羅萬(wàn)象，可以和工業(yè)、農(nóng)業(yè)、服務(wù)行業(yè)對(duì)接，影響范圍更加廣泛。在越來(lái)越多的行業(yè)都開始思考“互聯(lián)網(wǎng)+”的時(shí)候，卻很少有人重視網(wǎng)絡(luò)安全問(wèn)題，現(xiàn)實(shí)是因?yàn)榘踩囊庾R(shí)缺位，導(dǎo)致了互聯(lián)網(wǎng)企業(yè)和一些重點(diǎn)領(lǐng)域受到了來(lái)自內(nèi)部和外部的攻擊。

互聯(lián)網(wǎng)遭遇黑色五月

5月27日下午，支付寶用戶余先生正通過(guò)網(wǎng)絡(luò)給客戶轉(zhuǎn)賬，在點(diǎn)擊確認(rèn)之后卻發(fā)現(xiàn)支付寶賬戶出現(xiàn)故障，原本1萬(wàn)元余額的賬戶在轉(zhuǎn)賬7000元之后，剩余還是1萬(wàn)元。隨后支付寶官方發(fā)布的消息顯示，因?yàn)楹贾菽程幍墓饫|被挖斷，導(dǎo)致了支付寶無(wú)法正常使用。這樣的一則通告讓余先生哭笑不得，更多的支付寶用戶受到本次斷網(wǎng)事件的影響，有人戲稱一臺(tái)挖掘機(jī)癱瘓了支付寶。

據(jù)披露，支付寶斷網(wǎng)事件并沒(méi)有造成用戶數(shù)據(jù)破壞，最后持續(xù)了兩個(gè)小時(shí)終于被修復(fù)，這被業(yè)界認(rèn)為是互聯(lián)網(wǎng)企業(yè)應(yīng)對(duì)此類事件雖不完美卻仍值得稱道的案例。

此后不久，攜程和藝龍等網(wǎng)站相繼癱瘓，加上之前的5月11日網(wǎng)易受到 DDoS攻擊導(dǎo)致網(wǎng)易新聞客戶端、網(wǎng)易游戲等有關(guān)網(wǎng)站登陸不了，整個(gè)5月份，可以說(shuō)是中國(guó)互聯(lián)網(wǎng)行業(yè)的“黑色五月”。

5月28日上午，攜程網(wǎng)站和APP都無(wú)法登錄。經(jīng)過(guò)數(shù)小時(shí)的修復(fù)，除個(gè)別業(yè)務(wù)之外，網(wǎng)站和APP已經(jīng)可以登錄。攜程有關(guān)方面負(fù)責(zé)人在后來(lái)的聲明中表示，此次網(wǎng)站癱瘓并沒(méi)有導(dǎo)致數(shù)據(jù)泄漏。實(shí)際上最近幾年來(lái)，攜程網(wǎng)受到來(lái)自外界的攻擊非常之多，也是網(wǎng)絡(luò)攻擊的優(yōu)選目標(biāo)。在這次的攻擊當(dāng)中網(wǎng)民約有11個(gè)小時(shí)不能訪問(wèn)網(wǎng)站，帶來(lái)的損失是巨大的。

在整個(gè)事件的背后，也存在某些難以界定真假的因素。據(jù)攜程方面的負(fù)責(zé)人最開始的說(shuō)法，不能訪問(wèn)網(wǎng)站是由于服務(wù)器受到不明攻擊。后來(lái)攜程官方又更改了自己的說(shuō)辭，表示一切都是內(nèi)部管理人員在操作上的失誤導(dǎo)致各應(yīng)用系統(tǒng)出現(xiàn)問(wèn)題，而不是受到外部的黑客攻擊。

據(jù)360技術(shù)專家林偉介紹，從理論上說(shuō)，公司內(nèi)部比較資深的系統(tǒng)管理者，擁有一定的系統(tǒng)管理權(quán)限之后，就足以引爆這種程度的故障。假如攻擊者是來(lái)自公司外部的普通黑客，對(duì)公司內(nèi)部的信息架構(gòu)不太熟悉，很難一下子就制造這么大型的事故。

和攜程網(wǎng)站遲遲不能訪問(wèn)相比，藝龍網(wǎng)網(wǎng)站很快就得到了恢復(fù)，其背后顯然得到了一些云計(jì)算廠家的支持。在由中國(guó)電子學(xué)會(huì)主辦、CSDN等機(jī)構(gòu)協(xié)辦的第七屆中國(guó)云計(jì)算大會(huì)上，騰訊云計(jì)算負(fù)責(zé)人邱躍鵬接受了記者采訪，他表示當(dāng)攜程用戶的正常流量導(dǎo)流過(guò)來(lái)之后，黑客開始攻擊藝龍網(wǎng)，騰訊云技術(shù)人員跟藝龍技術(shù)團(tuán)隊(duì)進(jìn)行了對(duì)接，大概只用了14分鐘，就將整個(gè)網(wǎng)站納入到騰訊大禹云防護(hù)體系之中。

據(jù)介紹，騰訊云在全國(guó)提供了超過(guò)400個(gè)CDN的節(jié)點(diǎn)，將所有的攻擊流量分散在所有的節(jié)點(diǎn)上，整體的防御帶寬超過(guò)2TB。針對(duì)藝龍網(wǎng)的這次攻擊規(guī)模在100G以內(nèi)，這對(duì)騰訊云防御系統(tǒng)來(lái)說(shuō)是輕而易舉。

業(yè)內(nèi)人士普遍認(rèn)為，5月份網(wǎng)絡(luò)安全問(wèn)題之所以集中出現(xiàn)，一方面是由于互聯(lián)網(wǎng)企業(yè)在快速發(fā)展的過(guò)程中并沒(méi)有高度重視信息安全的問(wèn)題，像攜程、支付寶這樣成熟的互聯(lián)網(wǎng)公司，面對(duì)外部攻擊和內(nèi)部破壞的時(shí)候，本應(yīng)該迅速通過(guò)系統(tǒng)切換快速重啟業(yè)務(wù)，但是他們顯然沒(méi)有做到這一點(diǎn)。

另一方面，隨著“互聯(lián)網(wǎng)+”概念的火熱，越來(lái)越多的傳統(tǒng)行業(yè)企業(yè)開始和互聯(lián)網(wǎng)對(duì)接，這些企業(yè)之前封閉的信息系統(tǒng)一旦互聯(lián)網(wǎng)化，很容易被黑客等破壞者找到漏洞。目前國(guó)內(nèi)一些安全企業(yè)針對(duì)這些攻擊行為發(fā)布了相應(yīng)的產(chǎn)品，像知道創(chuàng)宇的創(chuàng)宇盾（web業(yè)務(wù)系統(tǒng)和云防御平臺(tái)）、騰訊云大禹防御系統(tǒng)，企業(yè)在遇到攻擊時(shí)可以及時(shí)獲得他們的幫助。

DDoS攻擊成為頭號(hào)公敵

在“互聯(lián)網(wǎng)+”的浪潮還沒(méi)有興起的時(shí)候，之前針對(duì)政府部門、企業(yè)等單位的網(wǎng)絡(luò)攻擊也很多。在此之前我們也經(jīng)常聽到網(wǎng)絡(luò)釣魚、APT、 DDoS等Web攻擊方式，最近發(fā)生的一起著名DDoS攻擊事件是巴西世界杯網(wǎng)站遭到黑客攻擊，攻擊導(dǎo)致網(wǎng)絡(luò)服務(wù)器宕機(jī)數(shù)小時(shí)，一個(gè)名為Anonymous的黑客組織宣布對(duì)這次攻擊負(fù)責(zé)。

在5月份遭受到的幾次攻擊中，網(wǎng)易、藝龍網(wǎng)甚至可能包括攜程網(wǎng)在內(nèi)受到的攻擊都是屬于DDoS攻擊。作為一種常用的攻擊手法，DDoS攻擊者總是想辦法讓目標(biāo)服務(wù)器的磁盤、內(nèi)存、進(jìn)程、網(wǎng)絡(luò)帶寬等資源被占滿，從而導(dǎo)致正常用戶無(wú)法方位，就好比是一個(gè)商店，有人惡意的找人排隊(duì)但不買東西，導(dǎo)致其他顧客也買不到東西。這種攻擊手段技術(shù)要求不高，甚至一個(gè)不懂技術(shù)的人也可以發(fā)起，目前已經(jīng)成為網(wǎng)絡(luò)空間的頭號(hào)公敵。

據(jù)2014年第4季度發(fā)布的《互聯(lián)網(wǎng)發(fā)展?fàn)顩r安全報(bào)告》顯示，DDoS攻擊數(shù)量在2014年幾乎翻倍；其來(lái)源也在全球范圍內(nèi)大幅擴(kuò)展；其中僵尸網(wǎng)絡(luò)是重要的幫兇，成為大量DDoS攻擊流量的來(lái)源。報(bào)告顯示，通過(guò)過(guò)去幾個(gè)月的監(jiān)測(cè)發(fā)現(xiàn)，目前有成千上萬(wàn)的家用級(jí)和中小企業(yè)路由器被僵尸網(wǎng)絡(luò)劫持，并已經(jīng)淪為其發(fā)動(dòng)DDoS攻擊的幫兇。

全球最大的CDN服務(wù)商Akamai最近發(fā)布的統(tǒng)計(jì)報(bào)告也顯示，在 2015 年第一季度DDoS 攻擊數(shù)量創(chuàng)下新紀(jì)錄，較 2014 年第一季度的紀(jì)錄增加超過(guò)一倍，而與上一季度相較數(shù)量也大幅攀升，超過(guò) 35%。報(bào)告指出，今年攻擊狀況有所改變：2014年較常見的是高頻寬和短期的攻擊，但在 2015 年第一季度，典型的DDoS 均少于每秒 10 GB （Gbps），攻擊時(shí)間都維持 24 小時(shí)以上。第一季度共有八次大型攻擊，每次攻擊都超過(guò)100 Gbps，而被觀察到的最大規(guī)模 DDoS 攻擊其高峰流量達(dá)到170 Gbps。

360安全專家林偉分析說(shuō)：“今年我們?cè)?jīng)監(jiān)測(cè)到過(guò)50G流量的 DDoS攻擊。網(wǎng)絡(luò)信息安全是十分重要的環(huán)節(jié)，國(guó)內(nèi)相關(guān)企業(yè)有必要從中吸取教訓(xùn)，檢討信息安全流程、機(jī)制、代碼、應(yīng)急等共性層面的問(wèn)題，避免在同一個(gè)地方再次出事。”

如何防御？

針對(duì)這段時(shí)間網(wǎng)絡(luò)上發(fā)生的安全問(wèn)題，各方面也開始高度關(guān)注。中國(guó)電子學(xué)會(huì)理事長(zhǎng)、陜西省省長(zhǎng)婁勤儉在近日舉辦的第七屆云計(jì)算大會(huì)上表示，信息安全是云計(jì)算、大數(shù)據(jù)等新一代信息技術(shù)無(wú)法回避的問(wèn)題，必須構(gòu)建全面的云計(jì)算保障體系，重點(diǎn)從加快信息安全立法、加強(qiáng)網(wǎng)絡(luò)安全體系建設(shè)和重視國(guó)家安全等級(jí)制度建設(shè)等方面去全力推進(jìn)。“如果我們能一以貫之地加強(qiáng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全管理，有充分的預(yù)案和應(yīng)對(duì)措施，相信像支付寶害怕挖掘機(jī)這種事就不會(huì)重演。”

具體到互聯(lián)網(wǎng)企業(yè)和相關(guān)領(lǐng)域的網(wǎng)絡(luò)安全，我們應(yīng)該怎么去預(yù)防？在出現(xiàn)網(wǎng)絡(luò)攻擊之后，如何快速啟動(dòng)預(yù)備方案，將數(shù)據(jù)、資金等損失降到最低，是今天的互聯(lián)網(wǎng)企業(yè)必須要面對(duì)的問(wèn)題。中國(guó)電信云計(jì)算負(fù)責(zé)人黃禮蓮表示，作為運(yùn)營(yíng)商，中國(guó)電信除了在管道上做好服務(wù)之外，同時(shí)也針對(duì)客戶在網(wǎng)絡(luò)安全方面的需求盡早進(jìn)行了布局。據(jù)了解，中國(guó)電信在全國(guó)云計(jì)算數(shù)據(jù)中心建設(shè)方面已經(jīng)形成了8+2+X的局面，同時(shí)針對(duì)一些客戶的需求可以提供異地多活的保障。

在本次支付寶斷網(wǎng)事件發(fā)生后，對(duì)異地雙活中心的重視再次提到互聯(lián)網(wǎng)企業(yè)的日程上來(lái)。據(jù)阿里巴巴安全部門負(fù)責(zé)人介紹，相對(duì)于傳統(tǒng)異地災(zāi)備對(duì)數(shù)據(jù)做的“冷備份”，阿里巴巴正在實(shí)現(xiàn)“異地多活”，將來(lái)再出現(xiàn)類似故障的時(shí)候，希望做到讓用戶基本沒(méi)有感覺(jué)。“這次斷網(wǎng)事件讓我們更堅(jiān)定了要做異地多活，在不同的地方同時(shí)支撐支付寶和淘寶業(yè)務(wù)，不管是斷通信網(wǎng)還是斷電都不會(huì)受到影響。”

不過(guò)，業(yè)內(nèi)人士也認(rèn)為真正實(shí)時(shí)的“雙活”還難以實(shí)現(xiàn)，支付寶的恢復(fù)過(guò)程花了整整兩個(gè)小時(shí)，國(guó)內(nèi)某些銀行可能要花費(fèi)更多時(shí)間。“目前國(guó)內(nèi)云服務(wù)商能夠做到實(shí)時(shí)異地雙活的還沒(méi)有，全球也許只有Google能夠提供這樣的服務(wù)”，新浪云計(jì)算負(fù)責(zé)人叢磊表示。

本文刊載于《中國(guó)信息化》雜志2015年第6期(2015年6月10日)，敬請(qǐng)關(guān)注！

責(zé)任編輯：大云網(wǎng)

免責(zé)聲明：本文僅代表作者個(gè)人觀點(diǎn)，與本站無(wú)關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對(duì)本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，請(qǐng)讀者僅作參考，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個(gè)贊